라자루스 그룹, $3.2M 솔라나 강도 사건 재발

암호화폐 조사관들은 2025년 5월 16일 여러 솔라나 지갑에서 320만 달러가 유출된 후 경보를 울리고 있으며, 이는 북한 연계 라자루스 그룹의 흔적을 띠고 있다고 말합니다. 탈취된 자산은 온체인에서 신속하게 매도되었고 이더리움으로 브리징된 후 일부가 토르나도 캐시를 통해 세탁되었습니다..

5월 16일, 피해자의 솔라나 주소에서 토큰이 비워졌고, 자산은 토르나도 캐시에 일부가 입금되기 전에 브리지를 통해 이더리움으로 전환되었습니다.

블록체인 연구자 자크XB는 이 취약점을 공개적으로 지적했으며, 이전 라자루스 활동과 유사점을 들었습니다.

해커들은 탈취된 자금을 브리징했습니다

블록체인 수사관들은 솔라나의 주소 “C4WY…e525”에서 대규모 이체를 관찰한 후 경보를 울렸습니다.

이 거래들은 악명 높은 라자루스 그룹과 연관되어 있으며, 탈취된 토큰을 브리지를 통해 이동하여 이더리움으로 전환하는 것을 포함했습니다. 자크XB는 브리지의 활동을 모니터링하고 결국 이더리움의 지갑 네트워크로 끝나는 자금을 추적하여 이 공격을 지적했습니다.

6월 25일과 6월 27일, 400 ETH가 토르나도 캐시로 두 번의 별도 입금으로 전송되었습니다. 총 약 160만 달러에 해당하는 이 800 ETH 거래는 라자루스 그룹의 잘 문서화된 자금 세탁 전술과 일치합니다.

2025년 2월 15억 달러가 탈취된 바이비트와 같은 고-profile 해킹과 2022년 하모니의 호라이즌 브리지에서 1억 달러가 탈취된 사건을 비롯한 기타 주목할 만한 해킹 이후, 라자루스는 거래 기록을 은폐하기 위해 분산형 거래소와 크로스체인 브리지를 함께 사용하여 토르나도 캐시를 반복적으로 사용해 왔습니다.

약 125만 달러가 이더리움의 “0xa5…d528”로 식별된 지갑 주소에 DAI와 ETH의 조합으로 보관되어 있습니다. 분석가들은 이 자금들이 향후 자금 세탁을 위해 보관되거나 탐지 위험을 줄이기 위해 의도적으로 비활성 상태로 유지될 수 있다고 추측합니다.

라자루스 그룹은 2017부터 활동 중

라자루스 그룹은 가장 다작인 국가 연계 사이버 범죄 조직으로 명성을 얻었으며, 북한 제재는 그들을 평양 정예 군사 정보 부서에 연계된 고도 지속적 위협으로 지정했습니다. 지난 2017년 이후 수년간 그들은 수십억 달러의 암호화폐를 탈취해 왔습니다.

그들의 수법은 종종 피싱이나 말웨어를 통한 핵심 인력의 침투로 시작하여 스마트 계약 결함이나 지갑 취약점을 악용합니다. 자금을 확보하면 신속하게 유동성 자산으로 전환되고 여러 지갑으로 분할된 후 토르나도 캐시와 같은 믹서와 Know Your Customer (KYC) 요구 사항 없이 즉시 스왑을 제공하는 서비스를 사용하여 크로스체인으로 세탁됩니다.

토르나도 캐시는 라자루스의 자금 세탁 전략의 중심에 있습니다. 미국 제재가 2022년에 부과되었지만, 분산형 호스팅과 불변성은 해당 서비스가 영구적인 중단을 피할 수 있도록 했습니다. 2025년 1월, 미국 항소 법원은 라자루스가 믹서 사용에 계속 관여한다는 증거가 쌓임에도 불구하고 표현의 자유를 고려하여 해당 제재를 뒤집었습니다.

규제당국과 거래소는 이제 경계된 주소를 의심스러운 것으로 표시하기 위한 조치를 취할 수 있습니다. 그러나 라자루스의 자금 세탁 파이프라인의 속도와 복잡성으로 인해 믹싱 서비스는 여전히 탈취된 자금의 이동을 숨기는 데 충분히 입증되었습니다.